Die Infektionskette beginnt mit einem npm-Import: Wird eines der 13 Pakete eingebunden, lädt ein Loader namens „loader.js" die eigentliche Schadsoftware von einem Npoint-Ablagepunkt nach und führt sie direkt im Arbeitsspeicher aus. Eine Datei auf der Festplatte entsteht dabei nicht.
Nach dem Start holt sich WeaselBiscuit seine Command-and-Control-Konfiguration von einer separaten Npoint-URL, erstellt ein Profil des befallenen Systems und greift anschließend auf den Chrome-Extension-Speicher zu – plattformübergreifend unter Windows, macOS und Linux. Abhängig von den Befehlen, die der C2-Server unter „103.170.217[.]184:8787" schickt, kann die Schadsoftware auf Windows-Rechnern zusätzlich Zwischenablage-Inhalte und Tastatureingaben mitschneiden.
Besonders hervor hebt McCarty die Sammelwut beim Extension-Speicher: „Sie lädt jede lesbare, nicht leere Datei unterhalb des Verzeichnisses Local Extension Settings – eines rohen LevelDB-Schlüssel-Wert-Speichers – komplett hoch." Auch ohne dedizierten Wallet-Stealer könne dadurch der Zustand von Wallet-Erweiterungen oder anderes sensibles, in Erweiterungen gespeichertes Material offengelegt werden.
Im Vergleich zu den größeren Verwandten fällt der Funktionsumfang deutlich schmaler aus. WeaselBiscuit verfügt weder über Fernzugriff noch über Persistenzmechanismen, verzichtet auf Code zum Abräumen von Kryptowallets und kann keine Nachladepayloads wie InvisibleFerret ausliefern. „Es ist ein abgespeckter Stealer, der mehrere Funktionen von BeaverTail und OtterCookie aus Nordkorea übernimmt, dabei aber deutlich kleiner und in sich geschlossen ist", fasste Gile zusammen.
BeaverTail ist ein plattformübergreifender Informationsdieb mit Downloader-Funktion, der von den nordkoreanischen Akteuren hinter Contagious Interview betrieben wird und sich gegen Softwareentwickler, IT-Fachleute und Nutzer von Kryptowährungen richtet; die Schadsoftware ist mindestens seit Ende 2022 aktiv. OtterCookie verbindet Datendiebstahl mit Fernzugriffsfunktionen, über die Betreiber Befehle auf kompromittierten Systemen ausführen können. Öffentlich dokumentiert wurde OtterCookie erstmals im Dezember 2024 durch NTT Security Holdings.
Trotz der nach eigener Einschätzung „bedeutsamen Überschneidungen mit Werkzeugen aus dem Umfeld von Contagious Interview" betont OpenSourceMalware, dass es keine belastbaren Belege für eine abschließende Zuschreibung an Nordkorea gebe – weder bei der Infrastruktur der Betreiber noch bei Opferprofilen, Kampagnen-Metadaten oder Signaturmaterial.
Eine Vermischung beider Codebasen wäre allerdings nicht neu: Cisco Talos berichtete im Oktober 2025 über ein npm-Paket namens „node-nvm-ssh", das „Merkmale von BeaverTail und von OtterCookie aufwies und damit die Grenze zwischen beiden verwischte".